[JustisCERT-varsel] [#018-2021] [TLP:CLEAR] Microsoft- og Adobe-sårbarheter for mars 2021

Microsoft har publisert sine månedlige sikkerhetsoppdateringer for mars 2021. Det er totalt 90, hvor 14 av dem er vurdert som kritisk og 75 er alvorlig. Flere av sårbarhetene kan utnyttes til fjernkjøring av kode og ta kontroll over brukere og systemer. Vær spesielt oppmerksom på CVE-2021-26411 i Internet Explorer som tillater fjernkjøring av kode ved at angriper får en bruker til å besøke en spesielt utformet nettside. Denne sårbarheten betegnes som kjent og er observert utnyttet.

Microsoft startet mars med å slippe "out-of-band"-oppdateringer som rettet 4 kritiske 0-dagssårbarheter i on-prem/hybrid-installasjoner av Microsoft Exchange Server 2013, 2016 og 2019. Sårbarhetene utnyttes aktivt og er omtalt i tidligere varsler [3,4]. I tillegg ble Chromium baserte Microsoft Edge oppdatert til versjon 89.0.774.45 [5].

Adobe har publisert sikkerhetsoppdateringer for Adobe Connect, Creative Cloud Desktop og Framemaker. Ingen av sårbarhetene skal være observert aktivt utnyttet.

Se Microsoft [1] og Adobe [2] sine nettsider for flere detaljer om sårbarhetene.

Berørte produkter er blant annet:

• Microsoft Windows (klient og server)
• Internet Explorer
• Edge Chromium (EdgeHTML)
• Microsoft Exchange Server
• Microsoft Office, Office Services og Web Apps
• Microsoft Sharepoint
• Microsoft Visual Studio
• Windows Hyper-V
• Azure og Azure DevOps
• Azure Sphere
   
• Adobe Connect
• Adobe Creative Cloud Desktop
• Adobe Framemaker

Anbefalinger:

• Patch berørte produkter
• Prioriter systemer som kan nås fra internett først
• Se egne anbefalinger for Microsoft Exchange Server 2013, 2016 og 2019 [3,4]

Kilder:

[1] https://msrc.microsoft.com/update-guide/en-us

[2] https://helpx.adobe.com/security.html

[3] [JustisCERT-varsel] [#015-2021]

[4] [JustisCERT-varsel] [#017-2021]

[5] https://www.ghacks.net/2021/03/05/microsoft-edge-89-stable-is-out/